Visualisieren von Diagrammen in Microsoft Sentinel (Vorschau)

Die Graphenoberfläche im Microsoft Defender-Portal ermöglicht Es Ihnen, interaktive graphbasierte Untersuchungen für Ihre benutzerdefinierten Diagramme durchzuführen, z. B. mithilfe eines Graphen, der für die Phishinganalyse erstellt wurde, damit Sie schnell die Auswirkungen eines aktuellen Incidents bewerten, ein Profil für den Angreifer erstellen und dessen Pfade über Microsoft-Telemetriedaten und Daten von Drittanbietern nachverfolgen können. Mit der Diagrammoberfläche können Sie Diagrammabfragen ausführen, um die Erkenntnisse zu visualisieren, die für Ihre Organisation am wichtigsten sind, und unterstützt ad-hoc-Traversal des Diagramms, damit Sie interessante Entitäten schnell untersuchen können. Sie können das Diagrammschema untersuchen, um die in Ihrem Diagramm definierten Beziehungen zu verstehen, und alle angezeigten Metadaten verwenden, um Ihre Ergebnisse einzugrenzen. Sie können Ihre Ergebnisse schnell mit der Tabellenansicht überprüfen und exportieren, um sie einfach in bereits vorhandene Workflows zu integrieren. Verwenden Sie Jupyter Notebooks in Microsoft Visual Studio Code, um Ihre benutzerdefinierten Graphen zu erstellen und zu materialisieren, und verwenden Sie dann die Graphoberfläche in Microsoft Sentinel, um Ihre benutzerdefinierten Diagramme abzufragen und zu visualisieren.

Verwenden Sie Microsoft Sentinel Diagramm zum Abfragen, Visualisieren und Interagieren mit Diagrammen, um neue Erkenntnisse zu erhalten.

Voraussetzungen

  • Um auf das Graph-Erlebnis in Microsoft Sentinel zuzugreifen und die Graph-Erfahrung abzufragen, um Visualisierungen zu erstellen, benötigen Sie die entsprechenden Berechtigungen. Weitere Informationen finden Sie unter Erste Schritte mit benutzerdefinierten Graphen in Microsoft Sentinel. Benutzer des Sentinel-Bereichs können nicht auf Sentinel Graphs zugreifen, es sei denn, sie besitzen eine von vier hoch privilegierten Rollen, die die Bereichsdefinition außer Kraft setzen: Sicherheitsleser, Sicherheitsoperator, Sicherheitsadministrator oder globaler Administrator.

Zugriffsgraphen

Um auf die Graphoberfläche in Microsoft Sentinel zuzugreifen, melden Sie sich beim Microsoft Defender Portal an, wählen Sie Microsoft Sentinel>Graphs aus dem Navigationsbereich aus.

Die Sentinel-Graph-Management-Seite listet benutzerdefinierte Graphen auf, die du mit der Microsoft Sentinel-Erweiterung für Visual Studio Code erstellt und durch das Veröffentlichen eines Graphjobs realisiert hast. Ein Diagramm, das nur in einer interaktiven Notizbuchsitzung erstellt wurde, ist auf dieser Seite nicht verfügbar. Wenn du noch keinen benutzerdefinierten Graphen veröffentlicht hast, siehe Create a custom graph , um loszulegen.

Wenn Sie bereits benutzerdefinierte Diagramme erstellt haben, werden auf der Seite "Diagramme" in Microsoft Sentinel alle verfügbaren benutzerdefinierten Diagramme angezeigt. Zeigen Sie eine Übersicht über die einzelnen benutzerdefinierten Diagramme an, indem Sie das Menü ... auf einer beliebigen Graphkachel auswählen.

Graphen, die von einem On-Demand-Graphjob veröffentlicht werden, werden 30 Tage lang gespeichert und dann gelöscht. Geplante Graph-Jobs bauen Graphen auf ihren konfigurierten Aktualisierungsplänen wieder auf. Wenn ein Graph fehlt oder seine Daten veraltet sind, überprüfen Sie den Jobstatus und den Zeitplan des Graphen in der Microsoft Sentinel-Erweiterung für Visual Studio Code.

Screenshot, der zeigt, wie Sie über den Navigationsbereich von Microsoft Sentinel auf das Sentinel-Diagramm zugreifen.

Abfragen eines benutzerdefinierten Graphen

Wählen Sie auf der Diagrammkachel Abfragediagramm aus, um die Seite für Graphabfragen anzuzeigen.

Graph-Abfragen werden unter dem Microsoft Sentinel-Graphenmeter abgerechnet. Weitere Informationen finden Sie unter Graph charges (Graph charges).

Zeigen Sie das Schema an, um die Diagramm-Ontologie – Knoten, Kanten und deren Eigenschaften zu verstehen, die für die Abfrage verfügbar sind.

Screenshot der Seite zum Erstellen von Sentinel Graphen mit dem Schemabereich und der Abfrageeingabe.

  1. Wählen Sie die Registerkarte Erste Schritte aus .

  2. Es wird eine Liste der vorgeschlagenen Abfragen angezeigt. Wählen Sie "Abfrage bearbeiten" für die Grafikabfrage "Visualisieren " aus, um sie in den Abfrage-Editor zu kopieren.

    • Geben Sie mehrere Abfragen manuell ein, oder wählen Sie weitere vorgeschlagene Abfragen aus.
    • Der Editor unterstützt Rückgängig (STRG+Z) und Wiederholen (STRG+Y).
    • Heben Sie vor dem Ausführen einer Abfrage die richtige Abfrage im Editor hervor.
    • Wenn Sie GQL-Abfragen manuell eingeben, schlägt der Editor prädiktive Werte basierend auf dem Schema Ihres Diagramms vor.

    Diese Beispielabfrage, Beliebigen Graphen visualisieren, entspricht einer beliebigen Ein-Hop-Verbindung im Graphen und findet einen Quellknoten, eine gerichtete Beziehung und einen Zielknoten. Es gibt die vollständigen Knoten und die Beziehung für bis zu 100 solcher Übereinstimmungen zurück, sodass sie für die schnelle Untersuchung der rohen Graphstruktur nützlich ist.

    MATCH (x)-[y]->(z)
RETURN *
LIMIT 100

    Weitere Informationen zur Verwendung von GQL finden Sie unter Graph Query Language (GQL)-Referenz.

    Note

    Vordefinierte Abfragen enthalten eine Standardklausel LIMIT (zum Beispiel LIMIT 100), die die Anzahl der zurückgegebenen Ergebnisse begrenzt. Das hält die Anfangsvisualisierungen standardmäßig responsiv, aber du siehst nur eine Teilmenge deiner Graphendaten. Um alle übereinstimmenden Ergebnisse zu sehen, bearbeite die Abfrage, um den Wert zu erhöhen oder die LIMIT Klausel zu entfernen, bevor du sie ausführst. Das Zurückgeben großer Ergebnismengen kann die Leistung beeinträchtigen, also erhöhen Sie das Limit schrittweise, um die richtige Balance für Ihren Graphen zu finden.

  3. Wählen Sie Run GQL query (GQL-Abfrage ausführen ) aus, um Ihre Ergebnisse anzuzeigen. Sie können eine Abfrage zur Mitte der Ausführung abbrechen. Kopieren Sie den Inhalt Ihrer Abfrage-Editor-Zelle, um die Abfrage an anderer Stelle freizugeben oder zu speichern.

  4. Nach Abschluss der Abfrage wird die Diagrammvisualisierung angezeigt. Einige Abfragen verwenden Operatoren wie COLLECTLIST diese können nicht als Diagramm gerendert werden. Operatoren, die nicht als Graph dargestellt werden können, werden in der Tabellenansicht dargestellt. Wenn eine Abfrage Operatoren verwendet, die nicht als Graph dargestellt werden können, zeigt der Graph-Tab eine Nachricht an, die erklärt, warum der Graph nicht dargestellt werden kann

  5. Wählen Sie einen beliebigen Knoten aus, um die Knotendetails anzuzeigen, einschließlich der eigenschaften, die diesem Knoten zugeordnet sind. Verwenden Sie diese Informationen, um nachfolgende Abfragen und Visualisierungen zu informieren.

    Screenshot: Ergebnisse der Sentinel Graphvisualisierung nach dem Ausführen einer GQL-Abfrage

  6. Wählen Sie die Registerkarte Tabelle aus, um eine tabellarische Darstellung Ihrer Ergebnisse anzuzeigen. Wählen Sie eine Zeile aus, um die zugrunde liegenden JSON-Daten für jede Zelle anzuzeigen.

    Screenshot: Ergebnisse der Tabellenvisualisierung nach dem Ausführen einer GQL-Abfrage

Interagieren mit Diagrammen

Verwenden Sie die folgenden Funktionen, um Ihre Diagramme zu durchlaufen und zu untersuchen:

Knotenfarben

Knoten sind farbcodiert nach Typ, sodass Sie die verschiedenen Entitätstypen in Ihrem Graphen einfach visualisieren können.

Diagrammlegende

Die Graphlegende zeigt alle Knotentypen in Ihrem Diagramm mit den entsprechenden Farben und Deren Anzahl an. Außerdem werden alle Edgetypen aufgelistet, sodass Sie verstehen können, wie Knoten miteinander verbunden sind.

Knotenbeschriftungen

Wenn Sie das Diagramm vergrößern, werden weitere Knotenbeschriftungen angezeigt. Die ersten Bezeichnungen, die angezeigt werden, sind die am stärksten verbundenen Knoten, die durch größere Kreise dargestellt werden. Wenn Sie den Zoom fortsetzen, werden weitere Knotenbeschriftungen in absteigender Reihenfolge der Konnektivität angezeigt.

Mit der Maus auf Knoten zeigen

Wenn Sie mit dem Mauszeiger über einen Knoten fahren, hebt das Diagramm dessen Verbindungen hervor und blendet nicht zugehörige Knoten und Kanten aus, sodass Sie wichtige Informationen und klar erkennen können, wie der Knoten mit anderen verbunden ist. Ein Popupfeld wird mit weiteren Informationen zum Knoten angezeigt.

Gruppieren und Gruppierung aufheben

Standardmäßig werden Knoten in Ihrer Diagrammvisualisierung gruppiert, wenn sie derselbe Knotentyp sind, und eine Verbindung mit demselben Ursprungsknoten mit demselben Edgetyp herstellen. Beispielsweise „Datei“-Knoten und „Zugriff von“ Rändern. Gruppierte Knoten werden durch gestapelte Kreise auf dem beschreibenden Layout und den Rautenformen im vereinfachten Layout dargestellt. Die Knotengruppierung erzeugt eine übersichtlichere Visualisierung mit weniger Knoten, was bei der Untersuchung großer Diagramme wichtig ist. Um die Gruppierung von Knoten aufzuheben, klicken Sie mit der rechten Maustaste und wählen Sie Gruppierung aufheben, um die Gruppierung aller Knoten aufzuheben. Wählen Sie die Knotengruppe aus, um die rechte Seitenleiste mit allen Knoten dieser Gruppe zu öffnen. Wählen Sie einzelne Knoten aus, um die Gruppierung aufzuheben, wobei die nicht ausgewählten Knoten in der ursprünglichen Gruppierung verbleiben. Um Knoten neu zu gruppieren, klicken Sie mit der rechten Maustaste auf einen beliebigen Knoten, der in die Gruppe einbezogen wurde, und wählen Sie Neu gruppieren aus.

Knotendetails anzeigen

Wählen Sie einen Knoten aus, um einen Detailbereich auf der rechten Seite zu öffnen. Verwenden Sie die im Detailbereich angezeigten Metadaten, um zukünftige Anfragen zu verfeinern – zum Beispiel durch Filterung nach geografischer Region, Abteilung oder zuletzt aktualisiertem Datum.

Erkunden verbundener Ressourcen

Klicken Sie mit der rechten Maustaste auf den Knoten, und wählen Sie "Verbundene Ressourcen durchsuchen " aus, um das Diagramm zu durchlaufen und den nächsten Hop von diesem Knoten anzuzeigen. In der detaillierten Renderer-Ansicht können Sie auch navigieren, indem Sie auf das Symbol „+“ neben einem Knoten klicken.

Screenshot, der zeigt, wie verbundene Ressourcen durch Klicken mit der rechten Maustaste auf einen Knoten in der Diagrammvisualisierung untersucht werden.

Filtern eines Diagramms

Sie können die Filter oben rechts im Graphbereich verwenden, um die visualisierten Ergebnisse nach Knotentyp oder Kantenbeziehung einzugrenzen.

Screenshot: Graphfilter für Knoten- und Edgetypen

Freigeben von Diagrammergebnissen

Sie können Ihre Abfrageergebnisse freigeben, indem Sie "Abfrage freigeben" auswählen. In diesem Dropdownmenü können Sie zwischen drei Optionen wählen:

  • Kopieren Sie den Link zu ihrer letzten Ausführungsabfrage: erzeugt und kopiert eine URL, die den Benutzer zur Diagrammseite leitet, wobei die referenzierte Abfrage bereits im GQL-Editor vorhanden ist.
  • Link in Code kopieren: Erzeugt und kopiert einen freigabefähigen URL-Link und den Abfragecodeinhalt.
  • Kopieren von Diagrammergebnissen: Erzeugt und kopiert einen freigabefähigen URL-Link, der die Abfrage automatisch ausführt, um das Diagramm zu generieren, sowie den Abfragecodeinhalt und einen Screenshot des erstellten Diagramms.

Sie können auch direkte Links zu Ihren Diagrammabfragen erstellen, die Ihre Diagrammseite mit der bereits ausgefüllten Abfrage öffnen und optional die Abfrage ausführen. Weitere Informationen finden Sie unter Erstellen von Deep-Links zu Microsoft Sentinel Diagrammabfragen.

Tabellenansicht

Zeigen Sie eine tabellarische Darstellung Ihrer Daten an, indem Sie die Registerkarte "Tabelle " auswählen. Aus der Tabelle können Sie folgende Aktionen ausführen:

  • Überprüfen Sie, dass Ihre Graph Query Language (GQL)-Abfrage die gewünschten Ergebnisse geliefert hat.
  • Suchen und sortieren Sie die Tabelle, um schnell nach relevanten Entitäten zu suchen.
  • Zeigen Sie den zugrunde liegenden JSON-Code für eine einzelne Zelle an, und stellen Sie den Schlüsselkontext bereit, den Sie in zukünftigen Abfragen verwenden können.
  • Exportieren sie in das CSV-Format zur Verwendung in anderen bereits vorhandenen Workflows.

Screenshot: Tabellenansicht mit Such-, Sortier- und Exportfunktionen

Passen Sie das Tabellenformat mithilfe des RETURN Operators an, um die Spaltenstruktur zu definieren, oder ordnen Sie die Ergebnisse nach Ihren Wünschen an. Weitere Informationen finden Sie in der GQL-Dokumentation.

Konfiguration der Grafikvisualisierungsoptionen

In der unteren rechten Ecke des Graph-Zeichenbereichs können Sie Ihre Diagrammvisualisierung mit einer Reihe von Konfigurationsoptionen anpassen.

Layouts

Die erste Schaltfläche "Einstellungen" bietet eine Reihe von Anpassungsoptionen für Ihre Diagrammvisualisierung.

Wählen Sie einen Graph-Renderer

Um sowohl gezielte Untersuchungen als auch umfangreiche offene Erkundungen zu unterstützen, verwendet das Diagramm zwei verschiedene Renderer, um Visualisierungen zu erzeugen. Standardmäßig ist der Renderer auf "auto" festgelegt, was bedeutet, dass das Diagramm basierend auf der Anzahl der angezeigten Knoten gerendert wird. Verwenden Sie entweder den beschreibenden oder vereinfachten Renderer entsprechend Ihren Anforderungen. Der beschreibende Renderer eignet sich am besten für kleinere Diagramme, bei denen eine detaillierte Granularität der Schlüssel ist. Es enthält kleine Verbesserungen wie Pluszeichen ("+") neben jedem Knoten, um einfache Diagramme zu durchlaufen, und gruppierte Knoten werden durch gestapelte Kreise dargestellt. Der vereinfachte Renderer eignet sich besser für große Graphen mit Tausenden von Knoten, skaliert für die freie Erkundung der dargestellten Daten und stellt Knotengruppen als Rauten dar.

Das folgende Bild zeigt den Unterschied zwischen dem deskriptiven Renderer links und dem vereinfachten Renderer rechts.

Screenshot mit dem Unterschied zwischen den beschreibenden und vereinfachten Renderern in der Diagrammvisualisierung.

Wählen Sie ein Diagrammlayout aus

Sie haben die Möglichkeit, das Layout Ihres Diagramms von "force" (Standard) in "gerichtet" zu ändern. Das Force-Layout zeigt automatisch Knoten basierend auf ihren Verbindungen an, wodurch ein miteinander verbundenes Diagramm entsteht, bei dem Anomalien leicht zu erkennen sind. Das gerichtete Layout folgt einer strikteren Struktur, wobei Knoten oben unten auf saubere, lineare Weise organisiert werden. Das folgende Bild zeigt das gerichtete Layout.

Screenshot des gerichteten Layouts einer Diagrammvisualisierung.

Konfiguration des Graphen-Interaktionsverhaltens

Standardmäßig ist die Option "Positionen bei Datenänderung beibehalten" aktiviert. Die Einstellung "Positionen bei Datenänderungen bewahren" stellt sicher, dass Maßnahmen wie Knotenverbindungserweiterung oder Gruppierung/Entgruppierung die Positionierung anderer Knoten nicht verändern. Das Deaktivieren der Einstellung "Positionen bei Datenänderung erhalten" verschiebt die Position bestehender Knoten, wenn Knotenverbindungserweiterungen oder Gruppierungs- und Entgruppierungsaktionen durchgeführt werden.

Verfügbare Graphaktionen

Wenn Sie "Diagramm neu ausrichten" auswählen, wird das Diagramm in den ursprünglichen Zustand zurückgesetzt.

Graphenschichten konfigurieren

Standardmäßig sind sowohl Knoten- als auch Randbeschriftungen im Diagramm sowie Symbole für vordefinierte Diagramme sichtbar. Deaktivieren Sie Beschriftungen und Symbole aus dem Menü "Einstellungen".

Vollbildmodus aktivieren

Wählen Sie den Vollbildmodus aus, um Ihr Diagramm im Vollbildmodus anzuzeigen, wodurch deutlich mehr Platz zum Erkunden der Visualisierung bereitgestellt wird.

Auf optimale Darstellung zoomen

Wählen Sie den Zoom, um das Diagramm neu zu positionieren, sodass alle Knoten sichtbar sind und den Großteil des Graph-Canvas-Bildschirms belegen. Während die Option "Graph neu ausrichten" den Graphen in seinen ursprünglichen Zustand zurücksetzt, passt die Option "Zoom to fit" einfach den Graphen (mit verschobenen Knoten oder anderen Anpassungen) auf deinen Bildschirm an.

Verwandte Inhalte

  • Last updated on